用途：面向 OpenClaw 的信息窃取类恶意软件检测与清除工作流，覆盖全系统文件搜索、哈希计算与公开数据库比对，适用于排查 RedLine、Vidar、Lumma 等窃密程序。
主要能力：先做定向文件发现（Windows 用 PowerShell 搜索 TEMP、APPDATA、LOCALAPPDATA、ProgramData 等目录；macOS/Linux 用 find 搜索 /tmp、~/Library 等），再用捆绑脚本 scripts/hash-checker.py 计算 SHA-256，然后通过 VirusTotal API 或 MalwareBazaar 公开链接核对哈希。判定规则：≥5 个检测或已知窃密家族为高置信；1–4 个检测加 IOC 匹配为可疑；0 检测为干净（除非有行为 IOC）。还包含行为与 IOC 验证、隔离与清除、清除后复验等步骤。
使用方式：需联网、Python 3.8+、管理员权限，建议配置免费 VT_API_KEY。核心命令包括 curl 调用 VirusTotal API、Windows Defender 的 MpCmdRun.exe 扫描命令，以及 ClamAV 的 freshclam 与 clamscan -r --move="$QUARANTINE"。可用 /infostealer-malware-detector 调用。
限制与原则：严格自定义哈希优先，杀毒软件仅在哈希不确定、文件锁定或高度可疑且记录原因时才升级使用，绝不作为首选；任何隔离或杀毒扫描前必须获得用户明确确认；删除前须展示文件清单与 VT 链接并创建带时间戳的隔离目录；所有结论需可复现证据，不执行未知二进制。跨 GitHub Copilot、Claude Code、Codex 使用，无需 MCP。